Exchange Online: Admin-API-Berechtigungen bis Ende November umstellen

Welche Berechtigungen Microsoft ersetzt

Bei delegiertem Zugriff, bei dem eine Anwendung im Namen eines angemeldeten Benutzers handelt, tritt Exchange.AdminAPI.Manage an die Stelle von Exchange.ManageV2. Für reinen Anwendungszugriff ohne interaktiven Benutzer ersetzt Exchange.AdminAPI.ManageAsApp die bisherige Berechtigung Exchange.ManageAsAppV2. Beide Rechte werden an der App-Registrierung in Microsoft Entra ID konfiguriert.

Die Änderung betrifft laut Microsoft die Autorisierung, nicht die API-Adressen, die Version 2.0 oder die unterstützten Operationen. Ein funktionierendes Skript muss deshalb nicht allein wegen dieser Umstellung auf einen neuen REST-Endpunkt wechseln. Berechtigungen, Einwilligungen und gegebenenfalls Automatisierungsvorlagen müssen allerdings überprüft werden.

Frist gilt zunächst für die weltweite Microsoft-365-Cloud

Für kommerzielle Mandanten sind die neuen Berechtigungen laut MC1540345 seit dem 1. November 2026 vorgesehen. Die Migration soll dort bis 30. November abgeschlossen sein; am 1. Dezember beginnt die Ausmusterung der bisherigen Rechte. Für die US-Behördenclouds GCC, GCC High und DoD nennt Microsoft dagegen den 1. Januar 2027 als Ausmusterungstermin.

Handlungsbedarf besteht nur dort, wo Anwendungen die beiden alten Berechtigungen tatsächlich einsetzen. Dazu können selbst entwickelte Administrationsoberflächen, Hintergrunddienste und Produkte von Dienstleistern gehören. Die Nutzung von Exchange Online oder des Exchange Admin Centers allein bedeutet noch nicht, dass eine eigene betroffene App-Registrierung vorhanden ist.

App-Registrierungen kontrollieren und zuerst testen

Administratoren sollten zunächst in den Entra-App-Registrierungen beziehungsweise den Berechtigungen der betroffenen Unternehmensanwendungen prüfen, ob Exchange.ManageV2 oder Exchange.ManageAsAppV2 eingetragen ist. Dann die passende neue API-Berechtigung hinzufügen und die erforderliche Administratorzustimmung erteilen. Wichtig ist, die tatsächlich genutzten Anwendungen, Skripte und Zustimmungsprozesse einzubeziehen, nicht lediglich eine einzelne Portalansicht.

Zusätzlich bleiben die Exchange-Online-RBAC-Rollen maßgeblich: Ein gültiges OAuth-Token genügt nicht, wenn der Benutzer oder der Dienstprinzipal für die gewünschte Verwaltungsoperation keine Exchange-Berechtigung besitzt. Nach der Umstellung sollten die regulären API-Aufrufe mit frisch angeforderten Tokens getestet werden. Erst wenn die Arbeitsabläufe erfolgreich laufen, sollten die bisherigen Rechte entfernt werden. Bei Fremdsoftware muss gegebenenfalls der Hersteller die Integration anpassen.

Eine pauschale Änderung anderer Microsoft-Graph-Berechtigungen ist mit dieser Ankündigung nicht verbunden. Die Exchange Online Admin API v2.0 ist außerdem nicht mit der vollständigen Exchange-Online-PowerShell-Verwaltung gleichzusetzen; Microsoft stellt dort nur ausgewählte Verwaltungsvorgänge über REST bereit.

Microsoft-Dokumentation nennt teils noch die bisherigen Namen

Die deutschsprachige Microsoft-Anleitung zur Authentifizierung und Autorisierung der Exchange Online Admin API führt zum Zeitpunkt dieser Meldung weiterhin die bisherigen Berechtigungen auf. Für die neuen Namen und die Umstellungsfristen ist daher die jüngere Nachricht MC1540345 im Microsoft-365-Nachrichtencenter maßgeblich. Wer die Berechtigung im eigenen Mandanten noch nicht findet, sollte vor Änderungen die dort angezeigte Nachricht und den tatsächlichen Rolloutstatus prüfen.

Weitere Details bieten die Microsoft-Anleitung zur API-Authentifizierung, die Übersicht zur Exchange Online Admin API und die Dokumentation des Microsoft-365-Nachrichtencenters. Im Nachrichtencenter ist die Mitteilung unter der Kennung MC1540345 auffindbar; ihre Sichtbarkeit kann von den Administratorrechten und dem Mandanten abhängen.